La problematica inerente alla delimitazione dei campi di applicazione del diritto federale (LPD – Legge Federale sulla protezione dei dati del 25.09.2020) e cantonale (LPDP- Legge sulla protezione dei dati personali del 09.03.1987), con riferimento ai trattamenti effettuati da enti privati per conto del cantone, è di grande importanza in quanto comporta significative conseguenze applicative.
Ci si chiede, in particolare, se un’associazione che svolge attività di promozione della salute e prevenzione delle dipendenze per conto del cantone contestualmente a specifiche attività di promozione del proprio ente anche mediante l’inoltro di newsletter informative e comunicazioni commerciali, possa ritenersi delegataria di un compito pubblico cantonale e conseguentemente soggetta all’applicazione della LPDP.
Giova precisare da subito che nessun dubbio si pone in ordine alla possibilità che ad un ente con personalità giuridica di diritto privato (ad esempio un’associazione) possano essere demandati specifici compiti pubblici cantonali (ad esempio anche esecutivi del diritto federale) in forza di un mandato pubblico di prestazione e che, conseguentemente, l’ente debba adeguare il proprio impianto privacy alla normativa privacy cantonale (LPDP).
Al fine quindi di comprendere quale normativa privacy applicare nella fattispecie in esame, è necessario valutare se i compiti demandati dal cantone all’associazione possano ritenersi compiti pubblici cantonali (e quindi l’associazione sia soggetta all’applicazione della LPDP) ovvero l’ente dia esecuzione a meri interessi pubblici (dovendosi quindi ritenere assoggettato alla LPD).
Orbene, l’art. 49 della Legge sulla promozione sanitaria (cantonale) prevede espressamente che: “Lo Stato promuove, collaborando con ordini e associazioni degli operatori sanitari, nonché con altri enti, associazioni o persone interessate, la lotta contro le malattie di rilevanza sociale o di larga diffusione, le tossicomanie e i comportamenti pericolosi per la salute tramite l’educazione sanitaria della popolazione in generale e dei gruppi sottoposti a rischi particolari”.
L’attività di prevenzione e la lotta contro l’alcolismo e l’abuso di sostanze stupefacenti, pertanto, pur rinvenendo il proprio fondamento nella costituzione federale (art. 131 e 3) e nella norma federale (Legge federale sulle bevande distillate art. 44 e 45), viene effettivamente delegata a livello cantonale diventando così un compito pubblico cantonale (cfr. art. 49 Legge sulla promozione sanitaria).
L’associazione, pertanto, in forza del mandato conferito, da esecuzione ad una attività (ovvero attività di promozione e prevenzione delle dipendenze) che attua, di fatto, un compito pubblico cantonale.
Con riferimento quindi a tali trattamenti, l’associazione sarà soggetta all’applicazione della LPDP.
Ma cosa fare nell’ipotesi in cui l’ente privato non persegua esclusivamente compiti pubblici cantonali ma effettui contestualmente ulteriori trattamenti al fine di erogare prestazioni inerenti al suo perimetro di attività, in conformità ai suoi obiettivi e allo scopo sociale (ad esempio mediante inoltro di comunicazioni commerciali o newsletter, l’offerta di specifiche consulenze, eventi di promozione dell’ente)?
In tali fattispecie l’ente sarà chiamato ad applicare anche la normativa privacy federale (LPD), previa verifica che il trattamento esuli da quelli attuativi del compito pubblico cantonale demandatogli.
Qualora il trattamento posto in essere dall’ente privato sia quindi di esecuzione del compito pubblico cantonale troverà applicazione la LPDP mentre tutti gli ulteriori trattamenti effettuati dall’ente saranno assoggettati alla LPD.
Tale dicotomia di applicazione normativa ha riflessi pratici significativi considerato che, ai sensi della LPDP vengono protette le personalità e diritti fondamentali sia delle persone fisiche che delle persone giuridiche mentre la LPD trova applicazione esclusivamente con riferimento ai dati personali delle persone fisiche.
E ancora.
Importanti conseguenze della normativa applicabile si hanno con riferimento alla modulistica privacy che l’ente deve approntare, con ciò riferendoci in prima istanza alle informative privacy da inoltrare a clienti/utenti nonché dipendenti e fornitori.
Ed infatti, le informative privacy approntate dal titolare del trattamento ed indirizzate agli interessati sopra individuati coinvolti nel trattamento attuativo del compito pubblico dovranno essere predisposte conformemente alla normativa privacy cantonale, mentre quelle destinate alle medesime figure ma inerenti ai trattamenti che esulano dall’adempimento del compito pubblico cantonale saranno soggette all’applicazione della normativa privacy federale.
Cosa fare quindi nell’ipotesi in cui il dipendente assunto dall’ente venga impiegato per dare esecuzione ad entrambi i trattamenti sopra analizzati?
Il criterio da applicare è quello della prevalenza ovvero l’informativa privacy dovrà essere approntata applicando la normativa di cui alla LPDP nell’ipotesi in cui il dipendente svolga in percentuale superiore al 50% attività di esecuzione del compito pubblico demandato all’ente.
Del pari, l’ente dovrà approntare due registri del trattamento: uno al fine di mappare i trattamenti effettuati in adempimento del compito pubblico cantonale (cfr. art. 19 LPDP) ed il secondo al fine di mappare tutti gli ulteriori trattamenti (art. 12 LPD).
Trattasi di principi che potrebbero subire una modifica a fronte della Nuova Legge Cantonale sulla protezione dei dati personali che, allo stato, parrebbe entrare in vigore entro la fine del corrente anno (2024).
